!runaway
!runaway命令显示每个线程消费的时间
Bit 0 (0x1) 让调试器显示每个线程消耗的用户模式时间(user time),默认不加就是0x1
-
Bit 1 (0x2) 显示每个线程消耗的内核时间(kernel time)。
Bit 2 (0x4) 显示每个线程从创建开始经历了多少时间。
就是三者的组合:1 2 3 4 5 6 7
0:002> !runaway
User Mode Time
Thread Time
0:890 0 days 0:00:00.031
2:a00 0 days 0:00:00.000
1:1174 0 days 0:00:00.000
0:002> !runaway 1
User Mode Time
Thread Time
0:890 0 days 0:00:00.031
2:a00 0 days 0:00:00.000
1:1174 0 days 0:00:00.000
0:002> !runaway 2
Kernel Mode Time
Thread Time
0:890 0 days 0:00:00.062
2:a00 0 days 0:00:00.000
1:1174 0 days 0:00:00.000
0:002> !runaway 3
User Mode Time
Thread Time
0:890 0 days 0:00:00.031
2:a00 0 days 0:00:00.000
1:1174 0 days 0:00:00.000
Kernel Mode Time
Thread Time
0:890 0 days 0:00:00.062
2:a00 0 days 0:00:00.000
1:1174 0 days 0:00:00.000
0:002> !runaway 4
Elapsed Time
Thread Time
0:890 0 days 0:38:34.825
1:1174 0 days 0:38:34.793
2:a00 0 days 0:38:24.528
0:002> !runaway 7
User Mode Time
Thread Time
0:890 0 days 0:00:00.031
2:a00 0 days 0:00:00.000
1:1174 0 days 0:00:00.000
Kernel Mode Time
Thread Time
0:890 0 days 0:00:00.062
2:a00 0 days 0:00:00.000
1:1174 0 days 0:00:00.000
Elapsed Time
Thread Time
0:890 0 days 0:38:41.825
1:1174 0 days 0:38:41.793
2:a00 0 days 0:38:31.528
该扩展命令可以用来快速找出哪些线程循环失去控制消耗了太多CPU时间。输出中以调试器的内部线程号和16进制线程ID来标识每个线程。还会显示调试器ID,当然,主要用于分析dump文件
~ (Thread Status)
波形符(~) 命令显示指定线程或当前进程中的所有线程的信息
0:002> ~
0 Id: 433c.4154 Suspend: 1 Teb: 7efdd000 Unfrozen
1 Id: 433c.33e4 Suspend: 1 Teb: 7efda000 Unfrozen
. 2 Id: 433c.c50 Suspend: 1 Teb: 7efd7000 Unfrozen
0:002> ~* ///<显示线程和入口函数
0 Id: 433c.4154 Suspend: 1 Teb: 7efdd000 Unfrozen
Start: test1!ILT+120(_wmainCRTStartup) (00a6107d)
Priority: 0 Priority class: 32 Affinity: f
1 Id: 433c.33e4 Suspend: 1 Teb: 7efda000 Unfrozen
Start: test1!ILT+35(?ThreadProcYAKPAXZ) (00a61028)
Priority: 0 Priority class: 32 Affinity: f
. 2 Id: 433c.c50 Suspend: 1 Teb: 7efd7000 Unfrozen
Start: ntdll!DbgUiRemoteBreakin (77e6fb5a)
Priority: 0 Priority class: 32 Affinity: f
0:002> ~0
0 Id: 433c.4154 Suspend: 1 Teb: 7efdd000 Unfrozen
Start: test1!ILT+120(_wmainCRTStartup) (00a6107d)
Priority: 0 Priority class: 32 Affinity: f
0:002> ~0s ///<切换线程
eax=00000000 ebx=0044f5e4 ecx=00000006 edx=00000000 esi=00000003 edi=71b16740
eip=76c07cb0 esp=0044f494 ebp=0044f51c iopl=0 nv up ei pl zr na pe nc
我们可以发现,~和~*还是有点区别的,~*会把入口函数和优先级都打印出来
//暂停、恢复线程----------------------------------------------------------------------------------------------------
0 Id: 433c.4154 Suspend: 1 Teb: 7efdd000 Unfrozen意思是0号线程,进程ID为433c,线程ID为4154,暂停数为1,未冻结状态,每个线程都包含了一个暂停计数(Suspend Count),以及一个冻结/解冻(Frozen/Unfrozen)的状态。
暂停计数由Windows内核使用的值,可以通过SuspendThread和ResumeThread这两个系统函数来控制的,核心编程里说一个线程创建时,暂停次数为1,
当线程完全初始化后,系统就要查看CREATE_SUSPEND标志是否已经传递给CreateThread。如果该标志没有传递,系统便将线程的暂停计数递减为0,
该线程可以调度到一个进程中
也可以用~<tid>n增加暂停计数,用~<tid>m减少暂停计数,如下:
0:001> ~1n
0:001> ~1
. 1 Id: 433c.33e4 Suspend: 2 Teb: 7efda000 Unfrozen
Start: test1!ILT+35(?ThreadProcYAKPAXZ) (00a61028)
Priority: 0 Priority class: 32 Affinity: f
0:001> g
此时g运行,会发现1号线程被暂停了,必须使用~1m来恢复
冻结状态是调试器的状态,在window操作系统中是不支持这个概念,对于每个被冻结的线程,调试器将记住这个状态,并且在调试事件被处理之前增加线程的挂起计数,当调试事件被处理完毕时,挂起计数将被递减,对应的命令为:
冻结~<tid>f
解冻~<tid>u
冻结命令数量必须和解冻命令数量相等
| (Process Status)
这个在多进程切换时比较有效:先模拟一个多进程调试:
windbg先打开test1
再附加到test2上:
0:002> | ///< <span style="font-family: 'Courier New', Courier, mono;">查看总进程列表,目前只有一个</span>
. 0 id: 433c create name: test1.exe
0:002> .attach 0n7860 ///< 附加test2
Attach will occur on next execution
0:002> g ///< 运行
*** wait with pending attach
Symbol search path is: srv*
Executable search path is:
ModLoad: 00300000 0031b000 D:\windbg\test2\Debug\test2.exe
ModLoad: 77dd0000 77f50000 C:\Windows\SysWOW64\ntdll.dll
eax=7efda000 ebx=00000000 ecx=00000000 edx=77e6fb5a esi=00000000 edi=00000000
eip=77de000c esp=0079fe54 ebp=0079fe80 iopl=0 nv up ei pl zr na pe nc
cs=0023 ss=002b ds=002b es=002b fs=0053 gs=002b efl=00000246
ntdll!DbgBreakPoint:
77de000c cc int 3
1:004> |<span style="white-space:pre"> </span> ///< 再次查看总进程列表,目前已有两个
0 id: 433c create name: test1.exe
. 1 id: 1eb4 attach name: D:\windbg\test2\Debug\test2.exe
和线程切换相同:使用:
1:004> |0s
切换回0号进程